| AWS CAF 1 Security governance 2 Quick Wins, 3 Fundacional, 3 Eficiente, 1 Optimizado 2331 | c1.1 Asigna contactos de seguridad de la cuenta c1.2 Selecciona Regiones y bloquea el resto | c2.1 Identificar requisitos de seguridad y regulatorios c2.2 Construir un plan de capacitación en seguridad en la nube c2.3 Establecer gobernanza de seguridad de IA e inventario de modelos | c3.1 Diseñar una arquitectura segura c3.2 Usar infraestructura como código c3.3 Definir una estrategia de etiquetado | c4.1 Compartir el trabajo y la responsabilidad de seguridad |
| AWS CAF 2 Security assurance 1 Quick Wins, 1 Fundacional, 1 Eficiente, 1 Optimizado 1111 | c1.3 Evalúa la postura de seguridad cloud | c2.4 Inventariar activos y monitorear cambios de configuración | c3.4 Generar reportes de cumplimiento | c4.2 Automatizar la recolección de evidencia para auditorías |
| AWS CAF 3 Identity and access management 4 Quick Wins, 3 Fundacional, 2 Eficiente, 3 Optimizado 4323 | c1.4 Exige autenticación multifactor c1.5 Protege la cuenta root c1.6 Centraliza la identidad y federa el acceso c1.7 Limpia accesos no intencionados y sin uso | c2.5 Establecer guardrails con SCPs y RCPs c2.6 Usar credenciales temporales en lugar de access keys c2.7 Exigir IMDSv2 en las instancias EC2 | c3.5 Revisar IAM para mínimo privilegio c3.6 Asegura la identidad de clientes | c4.3 Aplicar perímetros de datos de IAM c4.4 Construir un pipeline de generación de políticas IAM c4.5 Otorgar acceso elevado temporal |
| AWS CAF 4 Threat detection 3 Quick Wins, 1 Fundacional, 2 Eficiente, 2 Optimizado 3122 | c1.8 Detectar amenazas activas c1.9 Audita la actividad de la cuenta c1.10 Configura alarmas de facturación y de anomalías de costo | c2.8 Clasificar hallazgos de GuardDuty y habilitar protection plans | c3.7 Agrega detección de amenazas personalizada c3.8 Detectar amenazas contra su runtime de IA | c4.6 Construir inteligencia de amenazas c4.7 Analizar los flujos de red |
| AWS CAF 5 Vulnerability management 0 Quick Wins, 2 Fundacional, 3 Eficiente, 1 Optimizado 0231 | — | c2.9 Gestionar vulnerabilidades de infraestructura c2.10 Gestionar vulnerabilidades de aplicaciones | c3.9 Ejecutar un programa de Security Champions c3.10 Construir un pipeline DevSecOps c3.11 Adoptar pruebas de penetración agénticas | c4.8 Construir un equipo de gestión de vulnerabilidades |
| AWS CAF 6 Infrastructure protection 1 Quick Wins, 5 Fundacional, 2 Eficiente, 2 Optimizado 1522 | c1.11 Cierra puertos de administración abiertos riesgosos | c2.11 Limitar el acceso de red con security groups de mínimo privilegio c2.12 Desplegar anti-malware / EDR donde usted controla el SO c2.13 Administrar EC2 sin puertos SSH/RDP abiertos c2.15 Segmentar redes con VPCs c2.16 Adoptar una estructura multi-cuenta | c3.12 Construir un pipeline de golden images c3.13 Controlar el tráfico saliente | c4.9 Aplicar acceso zero trust c4.10 Preferir servicios abstractos (serverless) |
| AWS CAF 7 Data protection 2 Quick Wins, 4 Fundacional, 1 Eficiente, 0 Optimizado 2410 | c1.12 Bloquea el acceso público al almacenamiento c1.13 Analiza tu postura de seguridad en datos | c2.14 Proteger los datos en cargas de IA generativa c2.17 Cifrar datos en reposo c2.18 Respaldar datos y hacerlos inmutables c2.19 Descubrir datos sensibles | c3.14 Cifrar datos en tránsito | — |
| AWS CAF 8 Application security 1 Quick Wins, 2 Fundacional, 4 Eficiente, 1 Optimizado 1241 | c1.15 Proteger aplicaciones web | c2.20 Involucrar a los equipos de seguridad temprano en el desarrollo c2.21 Mantener los secretos fuera del código | c3.15 Realizar modelado de amenazas c3.16 Agregar reglas personalizadas de AWS WAF c3.17 Agregar revisión de seguridad agéntica a la entrega c3.18 Mitigar ataques DDoS | c4.11 Establecer un red team |
| AWS CAF 9 Incident response 1 Quick Wins, 1 Fundacional, 4 Eficiente, 4 Optimizado 1144 | c1.14 Actuar sobre los hallazgos de seguridad críticos | c2.22 Definir playbooks de respuesta a incidentes | c3.19 Realizar ejercicios de mesa (tabletop) c3.20 Automatizar playbooks críticos c3.21 Investigar incidentes de seguridad c3.22 Disponer respuesta a incidentes gestionada | c4.12 Establecer un blue team c4.13 Construir automatizaciones de seguridad avanzadas c4.14 Agregar orquestación de seguridad y ticketing c4.15 Automatizar la corrección de desviaciones de configuración |
| AWS CAF 10 Resiliency 1 Quick Wins, 1 Fundacional, 1 Eficiente, 2 Optimizado 1112 | c1.16 Evaluar la resiliencia de las cargas | c2.23 Diseñar con redundancia Multi-AZ | c3.23 Planificar la recuperación ante desastres | c4.16 Automatizar la recuperación ante desastres multi-Región c4.17 Practicar ingeniería del caos |
| Well-Architected 1 Security foundations 2 Quick Wins, 3 Fundacional, 2 Eficiente, 2 Optimizado 2322 | c1.1 Asigna contactos de seguridad de la cuenta c1.5 Protege la cuenta root | c2.1 Identificar requisitos de seguridad y regulatorios c2.5 Establecer guardrails con SCPs y RCPs c2.16 Adoptar una estructura multi-cuenta | c3.2 Usar infraestructura como código c3.15 Realizar modelado de amenazas | c4.6 Construir inteligencia de amenazas c4.15 Automatizar la corrección de desviaciones de configuración |
| Well-Architected 2 Identity and access management 5 Quick Wins, 3 Fundacional, 2 Eficiente, 2 Optimizado 5322 | c1.4 Exige autenticación multifactor c1.5 Protege la cuenta root c1.6 Centraliza la identidad y federa el acceso c1.7 Limpia accesos no intencionados y sin uso c1.12 Bloquea el acceso público al almacenamiento | c2.5 Establecer guardrails con SCPs y RCPs c2.6 Usar credenciales temporales en lugar de access keys c2.21 Mantener los secretos fuera del código | c3.5 Revisar IAM para mínimo privilegio c3.6 Asegura la identidad de clientes | c4.3 Aplicar perímetros de datos de IAM c4.5 Otorgar acceso elevado temporal |
| Well-Architected 3 Detection 4 Quick Wins, 0 Fundacional, 3 Eficiente, 2 Optimizado 4032 | c1.3 Evalúa la postura de seguridad cloud c1.8 Detectar amenazas activas c1.9 Audita la actividad de la cuenta c1.14 Actuar sobre los hallazgos de seguridad críticos | — | c3.7 Agrega detección de amenazas personalizada c3.20 Automatizar playbooks críticos c3.21 Investigar incidentes de seguridad | c4.7 Analizar los flujos de red c4.15 Automatizar la corrección de desviaciones de configuración |
| Well-Architected 4 Infrastructure protection 2 Quick Wins, 6 Fundacional, 4 Eficiente, 1 Optimizado 2641 | c1.11 Cierra puertos de administración abiertos riesgosos c1.15 Proteger aplicaciones web | c2.7 Exigir IMDSv2 en las instancias EC2 c2.9 Gestionar vulnerabilidades de infraestructura c2.11 Limitar el acceso de red con security groups de mínimo privilegio c2.12 Desplegar anti-malware / EDR donde usted controla el SO c2.13 Administrar EC2 sin puertos SSH/RDP abiertos c2.15 Segmentar redes con VPCs | c3.12 Construir un pipeline de golden images c3.13 Controlar el tráfico saliente c3.16 Agregar reglas personalizadas de AWS WAF c3.18 Mitigar ataques DDoS | c4.15 Automatizar la corrección de desviaciones de configuración |
| Well-Architected 5 Data protection 2 Quick Wins, 3 Fundacional, 1 Eficiente, 2 Optimizado 2312 | c1.12 Bloquea el acceso público al almacenamiento c1.13 Analiza tu postura de seguridad en datos | c2.17 Cifrar datos en reposo c2.18 Respaldar datos y hacerlos inmutables c2.19 Descubrir datos sensibles | c3.14 Cifrar datos en tránsito | c4.3 Aplicar perímetros de datos de IAM c4.9 Aplicar acceso zero trust |
| Well-Architected 6 Incident response 1 Quick Wins, 1 Fundacional, 4 Eficiente, 4 Optimizado 1144 | c1.1 Asigna contactos de seguridad de la cuenta | c2.22 Definir playbooks de respuesta a incidentes | c3.19 Realizar ejercicios de mesa (tabletop) c3.20 Automatizar playbooks críticos c3.21 Investigar incidentes de seguridad c3.22 Disponer respuesta a incidentes gestionada | c4.5 Otorgar acceso elevado temporal c4.11 Establecer un red team c4.12 Establecer un blue team c4.14 Agregar orquestación de seguridad y ticketing |
| Well-Architected 7 Application security 0 Quick Wins, 4 Fundacional, 5 Eficiente, 2 Optimizado 0452 | — | c2.2 Construir un plan de capacitación en seguridad en la nube c2.9 Gestionar vulnerabilidades de infraestructura c2.10 Gestionar vulnerabilidades de aplicaciones c2.20 Involucrar a los equipos de seguridad temprano en el desarrollo | c3.2 Usar infraestructura como código c3.9 Ejecutar un programa de Security Champions c3.10 Construir un pipeline DevSecOps c3.11 Adoptar pruebas de penetración agénticas c3.17 Agregar revisión de seguridad agéntica a la entrega | c4.1 Compartir el trabajo y la responsabilidad de seguridad c4.4 Construir un pipeline de generación de políticas IAM |
Cloud Security Maturity Model·AWS v3.0.0